Cyber Resilience Act: Hersteller bereiten sich auf neue Konformitätsanforderungen vor

Der Cyber Resilience Act verschiebt Cybersicherheit in die Produktkonformität — für Hersteller bedeutet das: Konformitätsbewertung, Benannte Stellen, Produktdokumentation und CE-Kennzeichnung werden zum operativen Kern, nicht zum Legal-Fußnote. Wer Produkte mit digitalen Elementen auf den EU-Markt bringt, sollte die neuen CRA-Konformitätsanforderungen jetzt strukturiert vorbereiten.

Dieser Artikel erklärt die Pflichten für Hersteller, Importeure und verantwortliche Integratoren. Keine Rechtsberatung.

Konformität im CRA-Kontext

Der CRA ist eine EU-Verordnung — direkt anwendbar, ohne nationale Umsetzungsgesetze wie bei NIS2. Konformität bedeutet: das Produkt erfüllt die grundlegenden Cybersicherheitsanforderungen (Anhang I), der Hersteller führt die passende Konformitätsbewertung durch, erstellt eine EU-Konformitätserklärung und bringt das Produkt mit CE-Kennzeichnung in Verkehr — ergänzt um Support-, Update- und Meldepflichten.

Das BSI betont: Es gibt keine separate Cyber-Marke. Das CE-Kennzeichen umfasst künftig auch Cyber — mit längerer Verantwortung als bei klassischer Produktsicherheit.

Produktkategorien und Bewertungswege

Drei Ebenen prägen die Praxis:

Kategorie	Beispiele (Auszug)	Bewertung
Standard	Viele B2B- und Consumer-Produkte	meist Modul A (Selbstbewertung)
Wichtig (Anhang III)	Passwortmanager, Firewalls	Klasse 1: oft Selbstbewertung mit harmonisierter Norm; sonst Benannte Stelle
Kritisch (Anhang IV)	Smartcards, Smart-Meter-Gateways	Zertifizierung nach EU-Schema

Die Durchführungsverordnung zur technischen Beschreibung wichtiger und kritischer Produkte (November 2025) präzisiert Kategorien — ein Startpunkt für Portfolio-Analysen.

Benannte Stellen: Kapazität früh sichern

Für wichtige Produkte der Klasse 2 und kritische Produkte ist Drittparteienbewertung zwingend — sofern kein vollständiges EU-Zertifizierungsschema greift. Ab 11. Juni 2026 müssen Mitgliedstaaten Verfahren für Benennung und Notifizierung von Konformitätsbewertungsstellen etablieren; bis 11. Dezember 2026 soll ausreichend Kapazität in der Union bestehen.

In Deutschland ist das BSI zentrale Anlaufstelle. Hersteller sollten:

• Produktklassifikation früh klären,
• RFQs an Benannte Stellen mit realistischen Zeitplänen senden,
• parallele interne Evidenz aufbauen — Wartezeit auf Termine nutzen, nicht verschwenden.

Vertiefung folgt in unserem Beitrag zur Benennung von Konformitätsbewertungsstellen.

Produktdokumentation: die technische Akte

Die technische Dokumentation ist das Rückgrat der Konformität. Mindestinhalt in der Praxis:

• Produktbeschreibung und intended use,
• Cybersecurity-Risikobewertung mit Bedrohungsszenarien,
• Architektur- und Schnittstellendokumentation,
• SBOM und Komponentenherkunft,
• Test- und Verifikationsnachweise,
• Update- und Supportstrategie inkl. Enddatum,
• Protokolle sicherheitsrelevanter Änderungen.

Alles versioniert — Marktüberwachung fragt nicht nach der Präsentation, sondern nach der Akte. Wer CRA-Leitlinien bereits nutzt, hat einen Interpretationsrahmen für Graubereiche.

CE-Kennzeichnung und Transparenz

Hersteller müssen Nutzerinnen und Nutzer informieren über:

• Support-Ende und Update-Verfügbarkeit,
• sicherheitsrelevante Produktinformationen,
• Kontakt für Schwachstellenmeldungen.

Anders als bei „statischer“ Produktsicherheit endet die Pflicht nicht mit dem Inverkehrbringen — aktives Schwachstellenhandling und kostenlose Security-Updates im Supportzeitraum sind Pflicht. Das verändert Vertrags- und Pricing-Modelle, besonders bei IoT und Industrie-Gateways.

Herstellerpflichten entlang der Kette

Hersteller tragen Hauptverantwortung. Importeure und Händler prüfen, ob Hersteller Konformität sichergestellt haben, und dürfen non-konforme Produkte nicht auf den Markt bringen. In OEM-Modellen muss klar sein:

• Wer führt die Konformitätserklärung?
• Wer kommuniziert mit Marktüberwachung?
• Wer meldet an ENISA ab September 2026?

White-Label- und Plattform-Ökosysteme scheitern hier ohne vertragliche RACI-Matrix.

Harmonisierte Normen — Lücke nutzen, nicht stillstehen

Horizontale CRA-Normen sind für Q3/Q4 2026 angekündigt; vollständige Abdeckung reicht bis 2027. Hersteller, die auf Normen warten, verlieren gegenüber Wettbewerbern mit Annex-I-Evidenz. Sinnvolle Strategie:

1. Annex-I-Gap-Assessment jetzt,
2. interne Konformitäts-„Readiness Review“,
3. Normenbezug nachziehen, sobald im Amtsblatt zitiert,
4. ggf. Übergangsweg über Benannte Stelle, wenn Selbstbewertung ohne Norm blockiert.

Synergien mit EU Cybersecurity Act / EUCC prüfen, wenn Produkte ohnehin hohe Assurance brauchen.

Industrie und Software — unterschiedliche Tempo

Maschinen- und Anlagenbauer mit langen Lebenszyklen müssen Support-Realität und Ersatzteilstrategie mit CRA harmonisieren — siehe Industrial CRA/NIS2 Readiness. SaaS-Anbieter klären Remote Processing und Versionierung: wann ist ein Update ein neues Produkt?

Hersteller-Checkliste vor Inverkehrbringen (2027)

Konformitätsmodul und ggf. Benannte Stelle festgelegt.

Technische Akte vollständig und versioniert.

SBOM-Prozess in Build-Pipeline integriert.

Meldeprozess ENISA getestet (ab September 2026 produktiv).

CE-Informationen und Support-Ende in Produkt/UI dokumentiert.

Fazit

CRA-Konformitätsanforderungen verbinden Produktrecht und Cybersicherheit dauerhaft: Konformitätsbewertung, Benannte Stellen, Produktdokumentation und CE-Kennzeichnung sind für Hersteller operative Pflichten — mit Meldewesen ab 2026 und Vollanwendung 2027. Wer Evidenz, Lieferketten-RACI und Kapazitätsplanung für Benannte Stellen jetzt startet, vermeidet Marktzugangsrisiken — wer wartet, gerät in den Stau.

Weiterführend: EU CRA für Unternehmen, Cyber-Resilienz-Grundlagen. Besetzung: Cybersecurity Recruiting.